La huella en la red de la flota

Los programas maliciosos suelen consultar a su servidor de control a intervalos regulares, con pequeñas variaciones. Lo normal en un teléfono es un tráfico irregular, que sigue al usuario: abre una app, se actualiza el mapa, se sincroniza la hora. Lo regular, con el mismo intervalo en varios aparatos, es un latido.

El filtro tiene dos pasos. Primero, quitar lo corporativo, que la empresa ya declaró. Segundo, entre lo que queda, buscar lo que se repite con ritmo y desde varios aparatos. Un dominio desconocido que aparece una sola vez no es lo mismo que uno que aparece cada cinco minutos.

Medir el alcance en la red es contar aparatos distintos, no consultas: un aparato que consulta tres veces sigue siendo uno. El número resultante es una cota inferior: son los aparatos que se vieron en esta ventana de una hora, por este resolutor. Un teléfono apagado, fuera de la red de la empresa o con otro resolutor no aparece, y por eso el conteo se cruza con el inventario del gestor antes de darlo por final.

Bloquear el dominio en el resolutor es correcto y barato, y hay que hacerlo. Pero un dominio es un indicador frágil: quien opera la familia lo cambia con facilidad, y el bloqueo solo cubre el nombre de hoy. Lo que dura más es el comportamiento: el ritmo de las consultas, las apps que lo producen, el tamaño de lo que se descarga.

Por eso el buen indicador se guarda con su caducidad y se acompaña con una búsqueda por conducta. Un informe que entrega solo una lista de dominios deja a la empresa un día después otra vez ciega.

El informe del equipo de respuesta nacional trae una lista de aplicaciones objetivo observada al analizar una muestra: cuando una de ellas pasa al primer plano, la app maliciosa actúa. Leída desde una empresa, la lista dice dos cosas distintas. Que una app de la empresa esté en ella significa que es un blanco, no que ya haya sido atacada. Y que esté en el informe no prueba que esta flota tenga la muestra: eso lo dicen el inventario y la red, que ya apuntan a la misma app.